Ist deine Website gehackt, und landen Leute, die dich bei Google finden, plötzlich auf einer fremden Seite, kümmere ich mich um alles Nötige: Ich lösche die Malware, schließe danach die Sicherheitslücke und beantrage bei Google, beim Hoster und bei Blacklists die Aufhebung aller Warnungen und Sperren. Das gilt für Betriebe in Lüneburg mit Joomla, TYPO3, Shopware, WordPress oder jedem anderen System und für jeden Hoster.
Meine Ersteinschätzung hast du in der Regel am Tag deiner Nachricht, danach den Festpreis. Erreichen kannst du mich über Telefon, WhatsApp oder das Formular, gern auch am Abend oder Wochenende.
Für die Ersteinschätzung genügt ein Verdacht, Beweise brauchst du nicht. Dass dir selbst nichts auffällt, ist kein Gegenbeweis: Manche Angreifer zeigen ihre Inhalte nur Besuchern aus der Suche und verstecken sie vor dem Inhaber.
Beispiel: Suchanfrage, Meldungen, Seiten und Benutzer in den Grafiken sind erfunden.
Statt deiner Seite zeigt Chrome eine rote Warnung mit den Worten „Gefährliche Website“. Die Google-Suche versieht deinen Treffer mit „Diese Website wurde möglicherweise gehackt“; steht Schadsoftware im Verdacht, lautet der Text „Diese Website kann Ihren Computer beschädigen“.
Bei manchen Hostern laufen automatische Malware-Scans; schlagen sie an, bekommst du Nachricht, oder die Website geht offline. Ein zweites Zeichen sind Mails, die nicht mehr ankommen oder im Spam landen: Über deinen Server wurde womöglich Spam verschickt, und nun steht er auf einer Blacklist.
Wer über einen Google-Treffer kommt oder deine Seite am Handy öffnet, wird mitunter auf eine fremde Adresse umgeleitet; tippst du die Adresse selbst ein, wirkt alles normal. Unter deiner Domain listet Google Seiten mit Inhalten, die nicht von dir sind. Im Backend, wo die Website verwaltet wird, findest du einen fremden Administrator, oder deine Zugangsdaten werden abgelehnt.
Joomla · TYPO3 · Shopware · WordPress
Welche Arbeiten anfallen, entscheidet der Befund.
Spuren
Ehe sich etwas ändert, ziehe ich eine Kopie von Dateien und Datenbank und sichere die verfügbaren Logs, die Protokolle des Servers. Sie zeigen, über welchen Weg der Angreifer eindrang und welche Änderungen er hinterlassen hat.
Befund
Ich prüfe jede Programmdatei gegen das Herstelleroriginal. Auf der Suchliste: Backdoors, also versteckte Hintertüren, fremde Dateien, Umleitungen in der .htaccess (der Datei, mit der der Server Adressen umleitet), fremde Cronjobs (Aufgaben mit festem Zeitplan) und Code in der Datenbank. Hängen weitere Websites am selben Hosting-Paket, gehören sie in die Prüfung, damit der Befall nicht über sie wiederkommt.
Zugänge
Wer ohne dein Wissen Administratorrechte hat, verliert sein Konto. Backend, FTP-Zugang (der Dateizugang) und Datenbank erhalten neue Passwörter, die ich dir separat übergebe. Bei WordPress kommen neue WordPress-Sicherheitsschlüssel dazu, wodurch alle bestehenden Anmeldungen enden, auch die des Angreifers.
Lücke
Das gefundene Einfallstor mache ich zu, damit die Reinigung nicht gleich wieder zunichte wird: Ältere Plugins und Themes bekommen ein Update oder einen Nachfolger, Dateirechte stelle ich richtig, und PHP läuft danach in einer neueren Version, sofern die Website damit klarkommt.
Bereinigung
Deine vorhandene Website wird gereinigt, nicht neu gebaut. Befallene Standarddateien weichen frischen Kopien vom Hersteller, deine selbst angelegten Dateien gehe ich einzeln durch und entferne, was eingeschleust wurde, und fremder Code wird aus der Datenbank entfernt. Fremdseiten unter deiner Domain lösche ich auf eine Art, die Suchmaschinen als endgültiges Aus verstehen.
Freigabe
Sobald die Website sauber ist, geht in der Search Console der Überprüfungsantrag an Google, an den Hoster die Bitte um Freigabe und an jede Blacklist, die Domain oder Server führt, der Antrag auf Austragung.
Bericht
Brauchst du einen Bericht, steht darin, welcher Schadcode wo saß, was ich entfernt habe, wie der Angreifer wohl hereinkam und welche Schritte ich empfehle. Vor Gericht taugt er nicht als Gutachten.
Wie läuft das ab?
Drei Regeln, bis wir sprechen: Ändere zuerst die Passwörter von E-Mail und Hoster-Kundenkonto, und nutze dafür ein Gerät ohne Befall. Danach gilt: nichts löschen und keine Sicherung zurückspielen, weil sonst die Spuren des Angriffs verloren gehen. Und öffne die befallenen Seiten nicht auf deinem eigenen Rechner; er könnte sich dabei infizieren.
Nenn mir die Webadresse und schick, falls vorhanden, die Mail deines Hosters oder einen Screenshot der Warnung mit. Von außen werfe ich einen ersten Blick darauf und berichte dir danach, welche Spuren mir auffallen und wie es weitergeht.
Im zweiten Schritt bekommst du einen Festpreis und erfährst, auf welche Zugänge ich angewiesen bin. Nach deiner Zusage bestimmt die Dringlichkeit den Start. Gearbeitet wird aus der Ferne.
Zuerst wird jede Spur gesichert, danach die Malware entfernt und die Sicherheitslücke verschlossen. Sind Besucher durch Schadsoftware, Phishing oder Weiterleitungen in Gefahr, empfehle ich, die Website vorübergehend für sie zu sperren, bis sie wieder sauber ist.
Ist die Bereinigung erledigt, kontrolliere ich, ob Formulare, Anmeldung und Shop wie gewohnt arbeiten, und gebe die Website frei. Ein Bericht folgt, sofern du einen haben möchtest.
Wie lange dauert das?Meistens nach einem Arbeitstag erledigt
In der Mehrzahl der Fälle steht die saubere Website nach einem Arbeitstag ab Start.
Länger braucht nur Google: Den Warnhinweis entfernt Google erst nach der von mir beantragten Überprüfung; rechne mit einigen Tagen, im Einzelfall mit mehreren Wochen.
Taucht derselbe Befall erneut auf, weil ich etwas nicht gefunden habe, beseitige ich ihn kostenfrei, auch wenn das Monate später passiert. Ein Einbruch über einen anderen Weg gilt als neuer Auftrag; Websites, die ich warte, nehme ich davon aus.
Eine Zusage, dass es nie wieder einen Angriff gibt, wäre unseriös; ich reinige und verschließe, was sich verschließen lässt.
Was kostet das?Einschätzung frei, Bereinigung fest bepreist
Die Ersteinschätzung zahlst du nicht, die Bereinigung zum vorher genannten Festpreis.
Ersteinschätzungkostenlos
Bezahlt wird nach der Bereinigung, nicht vorher.
BereinigungFestpreis, einmalig
Befund und Bereinigung, der Verschluss der Sicherheitslücke und jeder Antrag, der eine Warnung oder Sperre beenden soll: All das steckt im Preis.
Eine Härtung ist danach möglich, aber freiwillig; buchbar ist sie als Website-Sicherheit. Wartung und Hosting sind nur für Websites gedacht, die aus meiner Werkstatt stammen. Gerät eine solche Website trotz Wartung in die Hände von Angreifern, entferne ich den Befall ohne neuen Preis.
Die Ersteinschätzung kannst du einholen, ohne etwas zu beauftragen.
Ein einmaliger Auftrag ohne Mindestlaufzeit.
Herstellerdateien lassen sich meist neu herunterladen: der WordPress-Kern genauso wie Plugins und Themes, also Erweiterungen und Designvorlagen. Inhalte, Anpassungen und Uploads, die von dir stammen, gibt es nirgendwo sonst; ohne Sicherung ist nach einer Löschung nur zu retten, was übrig blieb.
Zeigt die Arbeit mehr Befall, als von außen zu ahnen war, sage ich dir das, bevor ich weitermache, und auch, ob der Festpreis dann noch passt. Ohne deine Zustimmung geht es nicht weiter.
Sauber heißt hier: Nirgends ist noch Schadcode zu finden, fremde Zugänge sind entfernt, jede entdeckte Lücke ist dicht.
Selbst wenn der Scan nichts meldet, können Daten längst abgeflossen sein. Bei personenbezogenen Daten, etwa bei Bestellungen oder Kundenkonten, verpflichtet Art. 33 DSGVO womöglich zu einer Meldung mit der Frist „unverzüglich und möglichst binnen 72 Stunden“, gezählt ab der Kenntnis des Verantwortlichen. Ob die Pflicht greift, sage ich dir, soweit mein Wissen reicht; Rechtsberatung leiste ich damit nicht. Du erhältst jeden technischen Befund, Anzeichen für einen Abfluss ohne Verzögerung.
Diese vier Punkte erledigst du.
Bevor ich anfange, brauche ich einen Beleg, dass die Website dir bzw. deinem Betrieb gehört. So lässt sich keine fremde Website über mich verändern. Geeignet sind etwa ein Login in dein Hoster-Kundenkonto oder eine Hostingrechnung, auf der dein Name oder der deines Betriebs steht; im Einzelfall kläre ich, ob das reicht.
Schalte mir Hosting, Backend und Domain frei, ebenso die vorhandenen Backups und, sofern genutzt, die Google Search Console. Erzähl mir, wer sonst Zugriff hat, welche Installation die letzte war und wann dir die ersten Ungereimtheiten aufgefallen sind. Ist beim Hoster sogar der Dateizugriff blockiert, besorgst du bei ihm einen Zugang, über den ich bereinigen kann; für Besucher bleibt die Website derweil zu.
Offline nehmen, Backup zurückspielen, eine Funktion ohne sicheren Ersatz aufgeben: Darüber entscheidest du, nachdem ich dir meine Empfehlung und ihre Folgen erklärt habe. Ihr späterer Neubau läuft als gesonderter Auftrag.
Alle übrigen Passwörter, also die jenseits der Website, stellst du selbst um, zuerst dort, wo du dasselbe Passwort für mehrere Dienste nutzt. Muss die Datenpanne gemeldet werden, schickst du die Meldung online dem Landesbeauftragten für den Datenschutz Niedersachsen; um die Frist einzuhalten, darf sie zunächst vorläufig und lückenhaft sein. Ist das Risiko für die Betroffenen voraussichtlich hoch, kommt Art. 34 DSGVO hinzu: Dann informierst du in der Regel auch sie, und zwar unverzüglich. Strafanzeige erstattest du am besten bei der Polizei, genauer bei der Zentralen Ansprechstelle Cybercrime (ZAC) im Landeskriminalamt Niedersachsen; sie ist für Betriebe der erste Kontakt.
Kostenlose Ersteinschätzung.
Sie verpflichtet dich zu nichts.